โต๊ะมืดที่มีกล่องควบคุมรีโมตซัพพอร์ตวางกุญแจทองเหลืองไว้ด้านบน สายต่อไปยังโน้ตบุ๊กที่ฝาแง้มมีแสงสีอำพันรั่วออกมา และป้ายแพตช์สีเขียวบนสาย
newssecuritybeyondtrustremote-supportzero-daycisa-kevapt

CISA เตือนด่วน: ช่องโหว่ BeyondTrust Remote Support ถูกโจมตีจริงตั้งแต่สิงหาคม

น้องกายEngineering

เมื่อวานนี้ (16 ตุลาคม 2026) CISA ของสหรัฐฯ ออกประกาศเตือนให้องค์กรที่ใช้ BeyondTrust Remote Support แบบติดตั้งเองรีบแพตช์ช่องโหว่ CVE-2026-102764 ซึ่งกระทบเวอร์ชัน 26.2.3 และต่ำกว่า เพราะมีคนใช้โจมตีจริงแล้ว (CISA alert) CISA เพิ่มช่องโหว่นี้เข้าบัญชี Known Exploited Vulnerabilities (KEV) ในวันเดียวกัน (CISA KEV) NHS England Digital ให้คะแนน CVSSv4 ไว้ที่ 9.3 และจัดเป็นช่องโหว่แบบ “authentication bypass by spoofing” ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินอาจอัปโหลดไฟล์อะไรก็ได้ลงในอุปกรณ์ที่ได้รับผลกระทบ (NHS England Digital) ส่วน SecurityWeek รายงานว่า Mandiant และ Google Threat Intelligence Group (GTIG) พบว่ากลุ่มชื่อ Armory Castle ซึ่งเป็นผู้โจมตีที่เชื่อมโยงกับจีน (ติดตามในชื่อ UNC5221 และ Warp Panda ด้วย) ใช้ช่องโหว่นี้เป็น zero-day ตั้งแต่ 29 สิงหาคม (SecurityWeek)

สรุป 30 วินาที: เกิดอะไรขึ้น

BeyondTrust Remote Support (ชื่อเดิม Bomgar) คือเครื่องมือที่ฝ่ายไอทีใช้เชื่อมต่อระยะไกลเข้าไปช่วยแก้ปัญหาให้ผู้ใช้ (CISA alert) ช่องโหว่ CVE-2026-102764 เกิดจากส่วนประกอบภายในของผลิตภัณฑ์ตรวจสอบ “ที่มา” ของข้อความที่ได้รับไม่เพียงพอ ในบางเงื่อนไขผู้โจมตีจึงทำ file operation บนอุปกรณ์ได้ (NHS England Digital)

  • การโจมตีจริง: CISA ระบุว่ามีผู้โจมตีใช้ช่องโหว่นี้เพื่อเข้าถึงครั้งแรก ฝังตัว ยกระดับสิทธิ์ และขยับไปยังเครื่องอื่นในเครือข่าย (CISA alert)
  • แพตช์: BeyondTrust ออกแพตช์ BT26-05-RS สำหรับเวอร์ชัน 24.3.1 ถึง 26.2.3 ส่วนลูกค้าที่ใช้รุ่นเก่ากว่า 24.3.1 ต้องอัปเกรดเป็นรุ่นใหม่ก่อนแล้วจึงลงแพตช์ (SecurityWeek)
  • SaaS: BeyondTrust ระบุว่าลูกค้า Remote Support SaaS ได้รับแพตช์ครบแล้วภายในวันที่ 9 ตุลาคม 2026 ส่วนลูกค้าแบบติดตั้งเองที่ไม่ได้เปิดอัปเดตอัตโนมัติต้องลงแพตช์ด้วยตัวเอง (SecurityWeek)
  • ผู้โจมตี: Mandiant และ GTIG สังเกตเห็น Armory Castle ใช้ webshell ชื่อ Sawfly กับ tunneler ชื่อ Bareclaw ลบล็อกหลายชั้น และขยับเข้าไปยังเครื่องภายในองค์กรที่ถูกเจาะ (SecurityWeek)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเคยแจ้งไอทีว่าคอมพิวเตอร์มีปัญหา แล้วมีคนมาควบคุมหน้าจอจากระยะไกลเพื่อช่วยแก้ นั่นคือการทำงานของเครื่องมือประเภท remote support ครับ BeyondTrust Remote Support เป็นหนึ่งในเครื่องมือประเภทนี้ ผมไม่มีตัวเลขว่าในไทยมีองค์กรใช้กี่แห่ง และแหล่งข่าวทั้งสี่ก็ไม่ได้พูดถึงประเทศไทยโดยตรง แต่หลายองค์กรในไทย ทั้งธนาคาร โรงพยาบาล และบริษัททั่วไป ใช้ทีมไอทีภายนอกดูแลระบบ เลยเป็นเรื่องที่ควรถามผู้ให้บริการของตัวเองไว้ก่อน

ลองนึกถึง “กุญแจสำรอง” ที่เราฝากช่างซ่อมบำรุงคอนโดไว้ ถ้าเครื่องที่ใช้ทำกุญแจตัวนั้นมีจุดอ่อน คนร้ายก็อาจทำสำเนาได้โดยไม่ต้องมีกุญแจตัวจริง นี่คือภาพเปรียบเทียบของผมเอง ไม่ได้มาจากแหล่งข่าว Remote Support เป็นช่องทางที่เปิดให้คนจากภายนอกเข้ามาแตะเครื่องของพนักงานโดยตั้งใจอยู่แล้ว ถ้าอุปกรณ์ตัวกลางถูกยึด ทางเข้านี้ก็ตกอยู่ในมือคนร้ายด้วย

ผลกระทบในกรณีที่ SecurityWeek รายงานคือ ผู้โจมตีใช้เครื่องมือช่วยเหลือที่มีในอุปกรณ์เพื่อขอเข้าถึงระบบไฟล์เต็มรูปแบบ และดาวน์โหลดเอกสารภายในที่มีประโยชน์ต่อการสำรวจเครือข่าย เช่น รายการซอฟต์แวร์ จากเครื่องของผู้ใช้โดยตรง (SecurityWeek) พวกเขายังเก็บเกี่ยว (harvest) credential ด้วย ข้อมูลเหล่านี้ไม่ใช่แค่ปัญหาของฝ่ายไอที เพราะอาจนำไปสู่การเจาะลึกเข้าระบบอื่นในองค์กร

อีกเรื่องที่ควรรู้คือ SecurityWeek อธิบายว่า Armory Castle เป็นกลุ่มสายสืบข้อมูลที่รัฐหนุนหลัง เน้นเก็บข่าวกรองระยะยาว และมักเลือกเป้าหมายเป็นผู้ให้บริการ SaaS บริษัทเทคโนโลยี หน่วยงานรัฐ งานกฎหมาย และ business-process outsourcer (BPO) (SecurityWeek) ถ้าองค์กรของคุณเป็นผู้ให้บริการแบบนี้ หรือจ้างบริษัทแบบนี้ดูแลงานสำคัญ ก็ควรถามให้ชัด

NHS England Digital ระบุด้วยว่า BeyondTrust แจ้งว่าผลิตภัณฑ์ Privileged Remote Access (PRA) อาจได้รับผลกระทบจาก CVE-2026-102764 เช่นกัน (NHS England Digital) ถ้าองค์กรใช้ทั้งสองตัว ต้องตรวจทั้งคู่

ทำงานยังไง

ผมขออธิบายแบบไม่ลงรายละเอียดเทคนิคการโจมตี ช่องโหว่นี้เกิดจากส่วนประกอบภายในของ Remote Support “ไม่ได้ตรวจสอบที่มาของข้อความที่ได้รับอย่างเพียงพอ” (NHS England Digital) พูดง่าย ๆ คือระบบเชื่อข้อความที่อ้างว่ามาจากแหล่งที่ถูกต้องมากเกินไป NHS England Digital สรุปผลไว้ว่า ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนอาจอัปโหลดไฟล์ตามอำเภอใจลงในอุปกรณ์ได้ (NHS England Digital) ชื่อประเภทช่องโหว่ “authentication bypass by spoofing” ก็สะท้อนเรื่องนี้ คือเลี่ยงขั้นตอนยืนยันตัวตนด้วยการปลอมแปลงว่าเป็นฝ่ายที่เชื่อถือได้ (CISA KEV)

เทียบกับร้านข้าวตามสั่งได้ว่า ถ้าพนักงานรับใบสั่งโดยไม่เช็คว่ามาจากใครจริง ๆ คนแปลกหน้าก็แอบเขียนใบสั่งปลอมแล้วยื่นเข้าครัวได้ นี่เป็นเพียงภาพเปรียบเทียบของผม ไม่ใช่คำอธิบายเชิงเทคนิคจากแหล่งข่าว

ส่วนสิ่งที่เกิดขึ้นหลังเจาะเข้าได้ แหล่งข่าวที่ให้รายละเอียดคือ SecurityWeek ซึ่งสรุปจากรายงานของ Mandiant และ GTIG ตามลำดับดังนี้ (SecurityWeek)

  1. ผู้โจมตีเล็งอุปกรณ์ BeyondTrust เพื่อเข้าถึงครั้งแรก แล้ววาง Sawfly webshell กับ Bareclaw tunneler เพื่อสื่อสารกับอุปกรณ์
  2. Sawfly เป็น webshell ขนาดเบาที่มีการสื่อสารควบคุมแบบเข้ารหัสสองทาง และเป็นจุดยึดหลักของผู้โจมตีในสภาพแวดล้อมนั้น
  3. หลังวาง webshell ผู้โจมตีได้สิทธิ์ระดับ root บนโฮสต์ของอุปกรณ์ เก็บ credential ได้สิทธิ์ root แบบไม่ต้องใช้รหัสผ่านกับ service account ของไซต์ และลบล็อกของระบบ เว็บเซิร์ฟเวอร์ และแอปพลิเคชันอย่างเป็นระบบ
  4. จากนั้นผู้โจมตีย้ายไปที่แอปพลิเคชัน Remote Support โดยใช้ credential ของผู้ดูแลที่ถูกยึด แก้สิทธิ์ของบัญชีเพื่อคุมเครื่องระยะไกล และเริ่มเล็งเครื่องภายในองค์กร

ประเด็นที่ควรสังเกตคือ ผู้โจมตีไม่ได้หยุดแค่ตัวอุปกรณ์ แต่ใช้ความสามารถที่ผลิตภัณฑ์มีอยู่แล้ว เช่น บริการโอนไฟล์ในตัว เพื่อดึงเอกสารจากเครื่องผู้ใช้ (SecurityWeek) การลบล็อกยังทำให้การตรวจย้อนหลังยากขึ้น CISA จึงแนะนำให้มองหา “ช่องว่างผิดปกติของล็อก” ด้วย (CISA alert)

คำศัพท์ที่ผ่านตาในข่าวนี้มีสามคำ ผมอธิบายสั้น ๆ ดังนี้ครับ

  • Zero-day คือช่องโหว่ที่ถูกใช้โจมตีก่อนที่ผู้ผลิตจะมีแพตช์ให้
  • KEV คือบัญชีช่องโหว่ที่ CISA มีหลักฐานว่าถูกโจมตีจริง การเข้าบัญชีต้องมี CVE ID หลักฐานการโจมตี และแนวทางลดความเสี่ยงที่ชัดเจน (CISA KEV)
  • Webshell คือเครื่องมือฝั่งเว็บที่ผู้โจมตีวางไว้เพื่อสั่งการอุปกรณ์ต่อภายหลัง

จุดหักมุม: ถูกใช้เป็น zero-day ก่อนที่ใครจะรู้ราวหนึ่งเดือน

SecurityWeek รายงานว่า BeyondTrust ระบุข้อบกพร่องนี้ได้เมื่อ 28 กันยายน ซึ่งเป็นหนึ่งวันหลังมีข่าวสาธารณะว่าช่องโหว่ถูกใช้โจมตีผู้ให้บริการอุปกรณ์ความปลอดภัยรายหนึ่ง แต่การโจมตีครั้งแรกเกิดไปแล้วเมื่อ 29 สิงหาคม ต่างกันราวหนึ่งเดือน เป้าหมายครั้งแรกคืออุปกรณ์ RS ที่ BeyondTrust โฮสต์เองหนึ่งเครื่อง และอุปกรณ์ที่ลูกค้าโฮสต์เองอีกหนึ่งเครื่อง (SecurityWeek) ดังนั้นช่วงเวลาที่ควรตรวจล็อกย้อนหลังจึงเริ่มตั้งแต่ปลายเดือนสิงหาคม ไม่ใช่แค่ตั้งแต่วันที่ประกาศออกมา

เรื่องไทม์ไลน์ของแพตช์ BeyondTrust บอกว่าผลิตแพตช์ได้ภายในวันที่ 30 กันยายน แต่ใช้เวลาทดสอบและแก้ช่องทางการโจมตีเพิ่มเติม ก่อนปล่อยจริงเมื่อ 8 ตุลาคม (SecurityWeek) การเลือกใช้เวลาทดสอบให้รอบคอบมีเหตุผลของมัน แต่ในมุมผู้ดูแลระบบ หมายความว่าอุปกรณ์แบบติดตั้งเองที่ไม่ได้อัปเดตอัตโนมัติอาจยังไม่ได้แพตช์จนถึงวันนี้ถ้าไม่มีใครลงมือ

SecurityWeek ยังอ้าง Mandiant และ GTIG ว่าเคยพบกลุ่มนี้ใช้ zero-day ใน Citrix NetScaler, Ivanti Connect Secure และ Dell RecoverPoint for Virtual Machines มาก่อน กลุ่มนี้เคลื่อนไหวมาตั้งแต่ราวเดือนตุลาคม 2023 และเคยเลือกเป้าหมายหลายประเทศและหลายอุตสาหกรรม (SecurityWeek) GTIG ระบุว่ากลุ่มนี้เคยใช้ช่องโหว่ในอุปกรณ์ edge หลายตัว และพัฒนาเครื่องมือเฉพาะของตัวเองออกมาหลายชุด ตั้งแต่ backdoor แบบเงียบไปจนถึงส่วนประกอบของอุปกรณ์ที่ถูกแก้ไขแล้ว (SecurityWeek)

เรื่องเงิน / ผลกระทบ

แหล่งข่าวทั้งสี่ไม่ได้ระบุตัวเลขความเสียหายทางการเงิน จำนวนองค์กรที่ถูกเจาะ หรือค่าแพตช์ ผมจึงไม่ขอประเมินเป็นตัวเงิน สิ่งที่ยืนยันได้จากแหล่งข่าวมีดังนี้

  • ผู้โจมตีใช้ช่องโหว่นี้เพื่อเข้าถึงครั้งแรก ฝังตัว ยกระดับสิทธิ์ และขยับไปยังเครื่องอื่น (CISA alert)
  • กลุ่มที่เกี่ยวข้องเป็นกลุ่มสายสืบข้อมูล เป้าหมายคือการเก็บข่าวกรองระยะยาว (SecurityWeek)
  • NHS England National CSOC ประเมินว่าการโจมตีต่อเนื่องมีความเป็นไปได้สูงมาก (highly likely) และแนะนำให้ทำตามแนวทางของ NCSC รวมถึงนโยบาย “patch by default” และแพตช์อุปกรณ์ edge ให้เร็วที่สุดเมื่อพบช่องโหว่วิกฤต (NHS England Digital)
  • CISA ระบุว่าช่องโหว่ประเภทนี้เป็นช่องทางโจมตีที่พบบ่อย และสนับสนุนให้ทุกองค์กรใช้การจัดการช่องโหว่ตามความเสี่ยง โดยให้จัดลำดับความสำคัญช่องโหว่ในบัญชี KEV ก่อน (CISA KEV)

ตามความเห็นของผมเอง ต้นทุนจริงของเหตุการณ์แบบนี้มักมาจากเวลาของทีมไอทีที่ต้องตรวจสอบย้อนหลัง การหมุน credential จำนวนมาก และการสร้างระบบใหม่จากสถานะที่เชื่อถือได้ ตามที่ CISA แนะนำเมื่อสงสัยว่าถูกเจาะ (CISA alert) ซึ่งเป็นงานที่ใช้คนและเวลามากกว่าการแพตช์ล่วงหน้ามาก

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

  • ไทม์ไลน์แพตช์: SecurityWeek ระบุรายละเอียดว่าพบช่องโหว่ 28 กันยายน ผลิตแพตช์ได้ภายใน 30 กันยายน และปล่อยจริง 8 ตุลาคม (SecurityWeek) ส่วน CISA เน้นให้แพตช์ทันทีโดยไม่ลงรายละเอียดไทม์ไลน์
  • สถานะ SaaS: CISA บอกว่าลูกค้า SaaS ได้รับแพตช์แล้ว (CISA alert) ส่วน SecurityWeek อ้างคำของ BeyondTrust ว่าเสร็จครบ ณ วันที่ 9 ตุลาคม 2026 (SecurityWeek) สองข้อมูลนี้ไม่ขัดกัน แต่ให้รายละเอียดคนละระดับ
  • Privileged Remote Access (PRA): NHS England Digital ระบุว่า BeyondTrust แจ้งว่า PRA อาจได้รับผลกระทบ และให้ตรวจแพตช์ BT26-05 ทั้งกับ Remote Support และ PRA (NHS England Digital) ประกาศของ CISA พูดถึงเฉพาะ Remote Support แบบติดตั้งเอง ผมจึงยังไม่รู้ว่า PRA เวอร์ชันไหนกระทบจริง ควรอ่านประกาศ BT26-05 ของผู้ผลิตโดยตรง
  • ขอบเขตผู้ได้รับผลกระทบ: SecurityWeek ระบุเป้าหมายแรกสุดของการโจมตีเพียงสองเครื่อง และ NHS England Digital บอกเพียงว่ามีนักวิจัยพบการโจมตีที่ใช้มัลแวร์เฉพาะกิจและ webshell (NHS England Digital) แหล่งข่าวไม่ได้บอกจำนวนผู้ถูกเจาะทั้งหมด และไม่ได้บอกว่ามีเหยื่อในประเทศไทยหรือไม่
  • ต้นทุนและราคา: ไม่มีข้อมูลเรื่องค่าใช้จ่ายในแหล่งข่าวเลย ต้องสอบถามผู้จำหน่ายหรือผู้ให้บริการโดยตรง

แล้วเราควรทำอะไร

สำหรับพนักงานออฟฟิศและคนทั่วไป

  1. ถ้ามีคำขอเชื่อมต่อระยะไกลเด้งขึ้นมาโดยที่คุณไม่ได้แจ้งปัญหา อย่ารีบกดยอมรับ ให้โทรหาฝ่ายไอทีผ่านช่องทางที่คุณรู้จักอยู่แล้วเพื่อยืนยันก่อน
  2. อย่ายอมรับคำขอช่วยเหลือระยะไกลจากคนหรือบริษัทที่ไม่รู้จัก ไม่ว่าจะติดต่อมาทางโทรศัพท์ อีเมล หรือแชต
  3. ถ้าสงสัยว่ามีใครเข้ามาในเครื่องคุณ ให้แจ้งไอทีทันทีและอย่าลบอะไรเอง เพราะไอทีอาจต้องใช้ล็อกเพื่อตรวจสอบ
  4. ถ้าฝ่ายไอทีแจ้งให้เปลี่ยนรหัสผ่านหรือลงชื่อเข้าใช้ใหม่ ให้ทำตามโดยเร็ว

สำหรับเจ้าของธุรกิจขนาดเล็กและผู้จัดการ

  1. ถามบริษัทไอทีที่ดูแลคุณว่าใช้ BeyondTrust Remote Support หรือ Privileged Remote Access หรือไม่ ถ้าใช้ให้ถามต่อว่าเป็นแบบ SaaS หรือติดตั้งเอง และแพตช์ BT26-05 แล้วหรือยัง
  2. ขอให้ผู้ให้บริการสรุปว่าได้ตรวจล็อกและเซสชันผิดปกติครอบคลุมช่วงตั้งแต่ปลายเดือนสิงหาคม 2026 หรือไม่ เพราะ 29 สิงหาคมเป็นวันที่ SecurityWeek ระบุว่าเกิดการโจมตีครั้งแรก
  3. กำหนดนโยบายว่าผู้ให้บริการภายนอกต้องแจ้งก่อนเข้าถึงระบบระยะไกลทุกครั้ง ข้อนี้เป็นข้อเสนอของผม ไม่ได้มาจากแหล่งข่าว

สำหรับทีมไอทีและผู้ดูแลระบบ

  1. ตรวจเวอร์ชัน Remote Support แบบติดตั้งเองทันที ถ้าเป็น 26.2.3 หรือต่ำกว่า ให้ลงแพตช์ BT26-05-RS ตามประกาศ BT26-05 ของ BeyondTrust (CISA alert)
  2. ถ้าใช้เวอร์ชันเก่ากว่า 24.3.1 ต้องอัปเกรดเป็นรุ่นใหม่ก่อนจึงจะลงแพตช์ได้ (SecurityWeek)
  3. จำกัดการเข้าถึงภายนอกของอุปกรณ์ให้เหลือเฉพาะบริการที่จำเป็นต่อการช่วยเหลือผู้ใช้และลูกค้า และจำกัดหน้าจอผู้ดูแลให้เข้าได้จากเครือข่ายที่เชื่อถือเท่านั้น (CISA alert)
  4. ตรวจสอบ Privileged Remote Access ด้วย และอ่านประกาศ BT26-05 ของผู้ผลิตว่ารุ่นของคุณได้รับผลกระทบหรือไม่ (NHS England Digital)
  5. ทำ network และ memory forensics เพื่อหาหลักฐานการถูกเจาะ โดยมองหาเซสชันระดับสูงหรือแอดมินที่ไม่รู้จัก ไฟล์สคริปต์ที่ไม่รู้จัก ช่องว่างผิดปกติของล็อกหรือการส่งต่อล็อก และการเปลี่ยนบัญชี สิทธิ์ หรือนโยบายเซสชันโดยไม่ได้รับอนุญาต (CISA alert)
  6. ถ้าสงสัยหรือยืนยันว่าถูกเจาะ ให้แยกอุปกรณ์นั้นออก เก็บ snapshot ของ virtual appliance หรือ forensic image ของเครื่องจริง ส่งล็อกของอุปกรณ์และเหตุการณ์เซสชันเข้า SIEM และเก็บล็อกอื่น ๆ เช่น WAF, reverse proxy และไฟร์วอลล์ขอบเครือข่ายตลอดช่วงที่เสี่ยง (CISA alert)
  7. จากนั้นสร้างระบบใหม่จากสถานะที่เชื่อถือได้ ลงแพตช์ หมุน credential ทุกตัวที่อุปกรณ์เคยเก็บหรือเคยฉีดเข้าไป เพิกถอนเซสชันซัพพอร์ตที่ใช้งานอยู่ทั้งหมด และตรวจการลงทะเบียน MFA ใหม่บนบัญชีสิทธิ์สูง (CISA alert)
  8. อ่านบล็อกของ Mandiant เรื่อง ARMORY CASTLE Exploits BeyondTrust เพื่อดูแนวทางการล่าภัย การแยกอุปกรณ์ และการตรวจจับเพิ่มเติม (CISA alert)

ผมมองว่า…

ผมมองว่าเรื่องนี้ไม่ใช่แค่แพตช์อีกตัวหนึ่ง เครื่องมือ remote support ต้องมีสิทธิ์เข้าถึงเครื่องผู้ใช้ตามหน้าที่อยู่แล้ว เมื่ออุปกรณ์ตัวกลางมีช่องโหว่ ความเสี่ยงจึงไม่ได้อยู่แค่กล่องเดียว แต่ลามไปถึงเครื่องที่มันเชื่อมต่อด้วย รายงานของ SecurityWeek ที่เล่าว่าผู้โจมตีใช้ฟีเจอร์ที่มีอยู่ในผลิตภัณฑ์เองเพื่อดึงเอกสารจากเครื่องผู้ใช้ ตอกย้ำเรื่องนี้ (SecurityWeek) องค์กรที่จ้างไอทีภายนอกจึงควรถามผู้ให้บริการอย่างจริงจังว่าเครื่องมือเหล่านี้ถูกแพตช์ ถูกจำกัดการเข้าถึง และถูกตรวจล็อกอย่างไร

อีกประเด็นคือ ข้อมูลของ CISA ชี้ว่าการเข้าบัญชี KEV ต้องมีหลักฐานการถูกโจมตีจริง (CISA KEV) ดังนั้นสำหรับ CVE-2026-102764 ผมถือว่ามีหลักฐานการถูกโจมตีจริง ไม่ใช่แค่ความเสี่ยงบนกระดาษ และผมขอให้ทีมที่ใช้ระบบแบบติดตั้งเองจัดเรื่องนี้เป็นงานด่วนของวันนี้เลย

ปิดท้าย: สิ่งที่ต้องจับตา

  • คำแนะนำและการอัปเดตจาก BeyondTrust และ Mandiant เกี่ยวกับการตรวจหาร่องรอยการถูกเจาะ
  • ข่าวหรือรายงานเพิ่มเติมว่ามีองค์กรในประเทศไทยหรือภูมิภาคเอเชียตะวันออกเฉียงใต้ได้รับผลกระทบหรือไม่ ซึ่งตอนนี้ยังไม่มีในแหล่งข่าว
  • การยืนยันเรื่องผลกระทบต่อ Privileged Remote Access จากประกาศของผู้ผลิต
  • ว่ากลุ่ม Armory Castle จะถูกพบใช้ช่องโหว่อื่นของอุปกรณ์ edge ต่อไปหรือไม่ เพราะ GTIG เคยรายงานว่ากลุ่มนี้ใช้ช่องโหว่ในอุปกรณ์ edge หลายตัวมาก่อน (SecurityWeek)

Recap

  • ตรวจว่าองค์กรหรือผู้ให้บริการไอทีของคุณใช้ BeyondTrust Remote Support หรือ Privileged Remote Access หรือไม่
  • ถ้าเป็นแบบติดตั้งเอง และเป็นเวอร์ชัน 26.2.3 หรือต่ำกว่า ให้ลงแพตช์ BT26-05-RS (รุ่นเก่ากว่า 24.3.1 ต้องอัปเกรดก่อน)
  • ถามผู้ให้บริการไอทีภายนอกว่าแพตช์แล้วหรือยัง และตรวจย้อนหลังตั้งแต่ปลายเดือนสิงหาคมหรือไม่
  • ตรวจล็อกหาเซสชันระดับสูงที่ไม่รู้จัก ไฟล์สคริปต์ที่ไม่รู้จัก ช่องว่างของล็อก และการเปลี่ยนสิทธิ์
  • จำกัดการเข้าถึงอุปกรณ์จากภายนอก และให้หน้าจอผู้ดูแลเข้าได้เฉพาะเครือข่ายที่เชื่อถือ
  • ถ้าสงสัยว่าถูกเจาะ ให้แยกอุปกรณ์ เก็บหลักฐาน สร้างใหม่ หมุน credential ที่เกี่ยวข้อง และเพิกถอนเซสชัน
  • แจ้งพนักงานไม่ให้ยอมรับ remote session ที่ไม่คาดคิด และให้ยืนยันกับไอทีก่อนทุกครั้ง